Sumbawanews.com,- Peneliti keamanan menemukan kerentanan baru pada PHP bernama CVE-2026-115560 yang berpotensi memungkinkan eksekusi kode jarak jauh, namun tim pengembang PHP memutuskan tidak merilis perbaikan darurat. Kerentanan ini memerlukan kombinasi konfigurasi langka—penggunaan pengelolaan sesi yang diubah saat program berjalan, ditambah aktifnya fitur session upload progress—yang jarang ditemukan dalam aplikasi umum. Sebagai mitigasi sementara, pengelola sistem diminta menonaktifkan fitur tersebut melalui pengaturan session.upload_progress.enabled=0. Perbaikan penuh akan disertakan dalam pembaruan PHP reguler berikutnya.
Di sisi lain, dua kerentanan sebelumnya, CVE-2026-109618 dan CVE-2026-109619, telah diperbaiki melalui pembaruan pada 21 Oktober 2026. Kedua celah ini dikategorikan kritis karena memungkinkan eksekusi kode tanpa autentikasi, meski belum ada laporan publik serangan berhasil. Pengelola sistem disarankan segera memperbarui PHP ke versi 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Peneliti juga mengonfirmasi adanya contoh kode eksploitasi yang beredar di internet, sebagian telah divalidasi berfungsi pada konfigurasi mod_php tertentu, tetapi tidak berjalan pada PHP-FPM.
Direktur Teknologi Mandiant, Charles Carmakal, memperingatkan bahwa eksploitasi berskala terbatas kemungkinan sudah terjadi. Meski belum ada bukti serangan luas, upaya pemanfaatan kerentanan tetap perlu diwaspadai.
